(57)【要約】【課題】  ユーザが、共存する異なる認証インフラストラクチャにログオンすることを可能にすること。【解決手段】  それぞれが対応する異なるタイプのクリデンシャルを共通プロトコルに変換する、異なるクリデンシャルプロバイダモジュールの１つにより、クリデンシャルが変換される。変換されたクリデンシャルは、ログオンＵＩモジュールとのＡＰＩを通じて、ローカルマシンのＯＳに通信される。ＯＳログオンモジュールが、ログオンＵＩモジュールによって呼び出され、クリデンシャルデータベースに照らして変換後のクリデンシャルを認証する。認証が成功すると、変換後のクリデンシャルによって識別されるユーザがログオンされて、ローカルマシンにアクセスする。クリデンシャルがクリデンシャルデータベースで認証されると、ＡＰＩは、選択されたＰＬＡＰモジュールによって指定されたアクセスサービスによりネットワークセッションを確立する。【選択図】  図２ａ
2005129032.tif 000002
【特許請求の範囲】
【請求項１】
それぞれが対応する異なるタイプのクリデンシャルを共通のクリデンシャルプロトコルに変換する複数の異なるクリデンシャルプロバイダモジュールの対応する１つにより前記クリデンシャルを変換するステップと、
前記共通のクリデンシャルプロトコルを有する前記変換されたクリデンシャルを、クリデンシャルプロバイダアプリケーションプログラムインターフェース（ＡＰＩ）を通じて、ローカルマシンのネイティブオペレーティングシステム（ＯＳ）のログオンユーザインターフェース（ＵＩ）モジュールに通信するステップと、
前記ＯＳのログオンルーチンを呼び出して、前記変換されたクリデンシャルをクリデンシャルデータベースに照らして認証するステップと、
前記認証が成功すると、前記変換されたクリデンシャルによって識別されるユーザをログオンさせて前記ローカルマシンにアクセスさせるステップと
を含むことを特徴とする方法。
【請求項２】
複数の前記クリデンシャルが個々の前記異なるクリデンシャルプロバイダモジュールによって変換され、通信され、認証が成功するまで、前記ユーザは前記ローカルマシンにログオンされないことを特徴とする請求項１に記載の方法。
【請求項３】
前記クリデンシャルが変換される時には前記ユーザは前記ローカルマシンにログオンされないことを特徴とする請求項１に記載の方法。
【請求項４】
前記クリデンシャルを変換するステップはさらに、
前記ログオンＵＩモジュールが、前記クリデンシャルプロバイダモジュールのフラットリストを要求するステップと、
前記フラットリストが、前記ログオンＵＩモジュールによって表示されるディスプレイに表示されるステップと、
前記ディスプレイの前記フラットリストから１つの前記クリデンシャルプロバイダモジュールを選択するステップと
を含むことを特徴とする請求項１に記載の方法。
【請求項５】
前記ＯＳのログオンルーチンを呼び出して前記変換されたクリデンシャルをクリデンシャルデータベースに照らして認証するステップは、さらに、
前記変換されたクリデンシャルをローカルセキュリティ機関（ＬＳＡ）に通信するステップと、
ローカルのセキュリティアカウントマネジャ（ＳＡＭ）データベース、
前記ＳＡＭデータベース以外のローカルデータベース、
リモートのクリデンシャルデータベース、
トークンプロトコルクリデンシャルサービス、
チャレンジ−リスポンスプロトコルサービス、および
前記ローカルマシンからリモートにあるドメインのアクティブディレクトリ（ＡＤ）およびケルベロス配布センター（ＫＤＣ）
からなる群から選択されたクリデンシャルデータベースに照らして、前記ＬＳＡにより前記認証を判定するステップと
を含むことを特徴とする請求項１に記載の方法。
【請求項６】
各前記クリデンシャルプロバイダモジュールは、クリデンシャルプロバイダＡＰＩを通じて前記ＯＳと相互動作可能であることを特徴とする請求項１に記載の方法。
【請求項７】
各異なるタイプの前記クリデンシャルは、ユーザ名およびパスワード、ハードウェアトークンクリデンシャル、デジタル証明書クリデンシャル、スマートカードクリデンシャル、チャレンジ−リスポンスプロトコルクリデンシャル、目の網膜、人間の顔、ゲートまたは通路、手書きの標本、声、芳香、指紋、および別のバイオメトリックサンプルからなる群から選択されることを特徴とする請求項１に記載の方法。
【請求項８】
コンピュータによって実行されるとき請求項１に記載の方法を行う命令を含むことを特徴とするコンピュータ可読媒体。
【請求項９】
ＯＳを有するローカルマシンと通信する入力装置でユーザからクリデンシャルを受け取るステップと、
それぞれ異なるタイプのクリデンシャルを共通のクリデンシャルプロトコルに変換する異なる共存するクリデンシャルプロバイダモジュールの１つにより前記クリデンシャルを変換するステップと、
前記ＯＳのコンポーネントを使用して、前記共通のクリデンシャルプロトコルを有する変換後のクリデンシャルをクリデンシャルデータベースに照らして認証するステップと、
前記認証が成功すると前記ユーザを前記ＯＳにログオンさせて前記ローカルマシンにアクセスさせるステップと
を含むことを特徴とする方法。
【請求項１０】
前記ユーザをログオンさせるステップはさらに、複数の前記クリデンシャルが受け取られ、個々の前記異なる共存するクリデンシャルプロバイダモジュールによって変換され、認証が成功すると、前記ユーザを前記ローカルマシンにログオンさせるステップを含むことを特徴とする請求項９に記載の方法。
【請求項１１】
前記変換されたクリデンシャルが認証される時点では、前記ユーザは前記ローカルマシンにログオンされないことを特徴とする請求項９に記載の方法。
【請求項１２】
前記ＯＳのコンポーネントを使用して、前記共通のクリデンシャルプロトコルを有する変換後のクリデンシャルを前記クリデンシャルデータベースに照らして認証するステップは、さらに、
前記変換後のクリデンシャルをＬＳＡに通信するステップと、
ＳＡＭデータベース、
前記ＳＡＭデータベース以外のローカルデータベース、
リモートのクリデンシャルデータベース、
トークンプロトコルクリデンシャルサービス、
チャレンジ−リスポンスプロトコルサービス、および
前記ローカルマシンからリモートにあるドメインのＡＤおよびＫＤＣ、
からなる群から選択されたクリデンシャルデータベースに照らして前記ＬＳＡにより前記認証を判定するステップ
を含むことを特徴とする請求項９に記載の方法。
【請求項１３】
各前記クリデンシャルプロバイダモジュールは、クリデンシャルプロバイダＡＰＩを通じて前記ＯＳの前記コンポーネントと相互動作可能であることを特徴とする請求項９に記載の方法。
【請求項１４】
コンピュータによって実行されるとき請求項９に記載の方法を行う命令を含むことを特徴とするコンピュータ可読媒体。
【請求項１５】
ローカルマシンで実行されるアプリケーションによりクリデンシャルを要求するステップであって、前記ローカルマシンは、ユーザがログオンされるＯＳを有し、前記ローカルマシンは入力装置と通信するステップと、
異なる共存するクリデンシャルプロバイダモジュールの１つを使用して、前記入力装置で前記ユーザから前記クリデンシャルを収集するステップと、
前記収集されたクリデンシャルを認証のために前記アプリケーションに与えるステップと
を含み、
各前記クリデンシャルプロバイダモジュールは、それぞれ異なるタイプのクリデンシャルを収集することができ、
各前記クリデンシャルプロバイダモジュールは、クリデンシャルプロバイダＡＰＩを通じて前記ＯＳとインターフェースをとり、
前記クリデンシャルプロバイダＡＰＩは、前記クリデンシャルプロバイダモジュールのいずれかによって収集されたクリデンシャルを受け取り、
各前記クリデンシャルプロバイダモジュールは、前記ＯＳにログオンして前記ローカルマシンにアクセスするためにプリンシパルを認証するために、当該プロバイダモジュールが収集した個々の前記タイプのクリデンシャルを前記クリデンシャルプロバイダＡＰＩに提供することができることを特徴とする方法。
【請求項１６】
コンピュータによって実行されるとき請求項１５に記載の方法を行う命令を含むことを特徴とするコンピュータ可読媒体。
【請求項１７】
ＯＳを有するローカルマシンと通信する入力装置でユーザからクリデンシャルを受け取るステップと、
前記入力装置に対応するクリデンシャルプロバイダモジュールにより前記クリデンシャルを変換するステップと
を含み、
前記クリデンシャルプロバイダモジュールは、複数の共存する異なる前記クリデンシャルプロバイダモジュールの１つであり、
各前記クリデンシャルプロバイダモジュールは、前記ローカルマシンと通信する異なる前記入力装置で受け取られたそれぞれ異なるタイプの前記クリデンシャルの変換を行うことができ、
各前記クリデンシャルの各前記変換は、共通のクリデンシャルプロトコルであり、
前記共通のクリデンシャルプロトコルを有する前記変換後のクリデンシャルを、クリデンシャルプロバイダインターフェースを通じて前記ＯＳのログオンＵＩルーチンに通信するステップと、
前記共通のクリデンシャルプロトコルを有する前記変換後のクリデンシャルを前記ログオンＵＩルーチンから前記ＯＳのログオンルーチンに渡すステップと、
前記ＯＳの前記ログオンルーチンにより、クリデンシャルデータベースに照らして前記変換後のクリデンシャルを認証するステップと、
前記認証が成功すると、前記ＯＳにより前記ユーザをログオンさせて前記ローカルマシンにアクセスさせるステップと、
を含むことを特徴とする方法。
【請求項１８】
前記ＯＳにより前記ユーザをログオンさせて前記ローカルマシンにアクセスさせるステップはさらに、複数の前記クリデンシャルそれぞれについて、前記受け取り、変換、通信、渡し、および認証の成功のステップが繰り返されるまで、ユーザをログオンさせて前記ローカルマシンにアクセスさせるステップを延期するステップを含むことを特徴とする請求項１７に記載の方法。
【請求項１９】
前記変換後のクリデンシャルが前記ＯＳのログオンルーチンにより前記クリデンシャルデータベースに照らして認証される時には、前記ユーザはログオンして前記ローカルマシンにアクセスしないことを特徴とする請求項１７に記載の方法。
【請求項２０】
前記ＯＳの前記ログオンルーチンにより前記クリデンシャルデータベースに照らして前記変換後のクリデンシャルを認証するステップは、さらに、
前記変換後のクリデンシャルを前記ＯＳのログオンルーチンからＬＳＡに通信するステップと、
ＳＡＭデータベース、
前記ＳＡＭデータベース以外のローカルデータベース、
リモートのクリデンシャルデータベース、
トークンプロトコルクリデンシャルサービス、
チャレンジ−リスポンスプロトコルサービス、および
前記ローカルマシンからリモートにあるドメインのＡＤおよびＫＤＣ、
からなる群から選択されたクリデンシャルデータベースに照らして前記ＬＳＡにより前記認証を判定するステップ
を含むことを特徴とする請求項１７に記載の方法。
【請求項２１】
コンピュータによって実行されるとき請求項１７に記載の方法を行う命令を含むことを特徴とするコンピュータ可読媒体。
【請求項２２】
ＯＳを有するローカルマシンによって実行されるとき、クリデンシャルを受け取り、前記クリデンシャルをクリデンシャルプロトコルに変換して、クリデンシャルデータベースに照らした前記ＯＳの認証コンポーネントによる認証のために互換性を持たせ、前記認証が成功すると、前記クリデンシャルによって識別されるユーザを前記ＯＳにログオンさせて前記ローカルマシンにアクセスさせる命令を包含するクリデンシャルプロバイダモジュールを含むコンピュータ可読媒体であって、
前記変換後のクリデンシャルは、前記ＯＳの認証コンポーネントとのインターフェースを介して受け取ることができ、
前記ＯＳの認証コンポーネントとの前記インターフェースは、対応する、複数の異なる共存するクリデンシャルプロバイダモジュールから複数の前記クリデンシャルそれぞれを受け取るための互換性があり、
各前記異なる共存するクリデンシャルプロバイダモジュールは、
個々の異なるタイプの前記クリデンシャルを個々の入力装置から受け取り、
各前記異なるタイプの前記クリデンシャルを前記クリデンシャルプロトコルに変換して、前記クリデンシャルデータベースに照らした前記ＯＳの認証コンポーネントによる認証のための互換性を持たせる
ことができることを特徴とするコンピュータ可読媒体。
【請求項２３】
前記ＯＳの前記認証コンポーネントは、
ログオンＵＩモジュールと、
前記ログオンＵＩモジュールからリモートプロシージャコール（ＲＰＣ）コールを受け取るＯＳログオンモジュールと、
前記認証を判定し、
ＳＡＭデータベース、
前記ＳＡＭデータベース以外のローカルデータベース、
リモートのクリデンシャルデータベース、
トークンプロトコルクリデンシャルサービス、
チャレンジ−リスポンスプロトコルサービス、および
前記ローカルマシンからリモートにあるドメインのＡＤおよびＫＤＣ、
からなる群から選択されたクリデンシャルデータベースと通信するＬＳＡと、
を含むことを特徴とする請求項２２に記載のコンピュータ可読媒体。
【請求項２４】
それぞれ対応する異なるタイプのユーザ入力を共通のクリデンシャルプロトコルのクリデンシャルに変換する、複数の異なる共存するクリデンシャルプロバイダモジュールの１つから受けとったクリデンシャルでユーザを認証し、
前記認証が成功すると、前記変換後のクリデンシャルによって識別されるユーザをログオンさせて前記ローカルマシンにアクセスさせる
認証モジュールを含むことを特徴とするネイティブＯＳ。
【請求項２５】
ＯＳを有するローカルマシンによって実行されるとき、
事前ログオンアクセスプロバイダ（ＰＬＡＰ）モジュールに対応するクリデンシャルおよびアクセスサービスを受け取り、
クリデンシャルデータベースに照らした前記ＯＳの認証コンポーネントによる認証のために前記アクセスサービスを使用してドメインとの通信を確立し、前記認証が成功すると、前記クリデンシャルによって識別されるユーザを前記ＯＳにログオンさせて前記ローカルマシンにアクセスさせる
命令を含むＰＬＡＰモジュールを備えるコンピュータ可読媒体であって、
前記クリデンシャルは、前記ＯＳの認証コンポーネントとのインターフェースを介して受け取ることができ、
前記ＯＳの認証コンポーネントとの前記インターフェースは、対応する複数の異なる共存する前記ＰＬＡＰモジュールから、複数の前記クリデンシャルと前記アクセスサービス各々を受け取るための互換性があり、
各異なる共存する前記ＰＬＡＰモジュールは、前記クリデンシャルデータベースに照らした前記ＯＳの認証コンポーネントによる認証における通信と互換性を持つように、それぞれの異なるタイプの接続を確立することができることを特徴とするコンピュータ可読媒体。
【請求項２６】
前記ＯＳの認証コンポーネントは、
ログオンＵＩモジュールと、
前記ログオンＵＩモジュールからＲＰＣコールを受け取るＯＳログオンモジュールと、
前記認証を判定し、
ＳＡＭデータベース、
前記ＳＡＭデータベース以外のローカルデータベース、
リモートのクリデンシャルデータベース、
トークンプロトコルクリデンシャルサービス、
チャレンジ−リスポンスプロトコルサービス、および
前記ローカルマシンからリモートにあるドメインのＡＤおよびＫＤＣ、
からなる群から選択されたクリデンシャルデータベースと通信するＬＳＡと、
を含むことを特徴とする請求項２５に記載のコンピュータ可読媒体。
【請求項２７】
認証モジュールとの事前ログオンアクセスプロバイダ（ＰＬＡＰ）マネジャＡＰＩを含むネイティブＯＳであって、
複数の異なる共存するＰＬＡＰモジュールはそれぞれ、前記ＰＬＡＰマネジャＡＰＩと、前記ＰＬＡＰモジュールに対応するアクセスサービスとの間に接続を確立することができ、
各前記ＰＬＡＰモジュールは、クリデンシャルと、それに対応する前記対応するアクセスサービスとの間の異なるタイプの接続とを指定し、
前記認証モジュールは、１つの前記ＰＬＡＰモジュールによって指定された前記クリデンシャルを使用してプリンシパルを認証して、前記ネイティブＯＳを通じてローカルマシンにアクセスし、
前記プリンシパルの認証が成功すると、前記プリンシパルは前記ローカルマシンを使用して、前記ＰＬＡＰマネジャＡＰＩと、前記１つのＰＬＡＰモジュールに対応するアクセスサービスとの間で通信することができることを特徴とするネイティブＯＳ。
【請求項２８】
ＯＳのログオンＵＩモジュールとの事前ログオンアクセスプロバイダ（ＰＬＡＰ）マネジャＡＰＩを通じて前記ログオンＵＩモジュールにより、対応する複数の共存する異なるＰＬＡＰモジュールにアクセスサービスのフラットリストを要求するステップと、
前記アクセスサービスのフラットリストを、前記ログオンＵＩモジュールによって表示されるディスプレイに表示するステップと、
クリデンシャルの入力と、前記ディスプレイのアクセスサービスのフラットリストからの１つの前記アクセスサービスの選択とを受け取るステップと、
前記１つのアクセスサービスを使用してドメインとの接続が確立されると、
前記クリデンシャルを前記ドメインの認証プロバイダに渡すステップと、
前記ドメインで前記認証プロバイダに照らして前記クリデンシャルの最初の認証を行うステップと、
前記最初の認証が成功すると、
前記クリデンシャルを前記ＰＬＡＰ  ＡＰＩから前記ログオンＵＩモジュールに通信するステップと、
前記ログオンＵＩモジュールからＲＰＣコールを行って、前記クリデンシャルをＯＳログオンモジュールに渡すステップと、
ＬＳＡログオンユーザコールにより前記クリデンシャルを前記ＯＳログオンモジュールからＬＳＡに渡すステップと、
ＳＡＭデータベース、
前記ＳＡＭデータベース以外のローカルデータベース、
リモートのクリデンシャルデータベース、
トークンプロトコルクリデンシャルサービス、
チャレンジ−リスポンスプロトコルサービス、および
前記ローカルマシンからリモートにあるドメインのＡＤおよびＫＤＣ、
からなる群から選択されたクリデンシャルデータベースに照らして前記ＬＳＡにより第２の認証を行うステップと、
前記第２の認証が成功すると、前記クリデンシャルによって識別されるユーザをログオンさせて前記ＯＳを実行するローカルマシンを使用させるステップと
を含むことを特徴とする方法。
【請求項２９】
前記１つのアクセスサービスを使用して前記ドメインとの接続が確立されないときに、
前記ログオンＵＩモジュールによって表示される前記ディスプレイに、前記アクセスサービスのフラットリストを再表示するステップと、
他のクリデンシャルと、１つの前記アクセスサービスの別の選択を促すステップと、
前記他のクリデンシャルの入力と、１つの前記アクセスサービスの前記別の選択を受け取るステップと、
前記１つのアクセスサービスの別の選択を使用して、ドメインとの接続の確立を試みるステップと
をさらに含むことを特徴とする請求項２８に記載の方法。
【請求項３０】
コンピュータ可読媒体であって、ログオンＵＩモジュールと、前記ログオンＵＩモジュールからＲＰＣコールを受け取るＯＳログオンモジュールと、前記ＯＳログオンモジュールからＬＳＡログオンユーザコールを受け取るＬＳＡとを有する認証コンポーネントを含むＯＳを実行するプロセッサを有するコンピューティングデバイスにおいて、前記ＬＳＡは、１つまたは複数のクリデンシャルデータベースと通信し、前記コンピューティングデバイスは、コンピュータ可読媒体中の命令を実行し、前記命令は、複数の異なる共存する個々の事前ログオンアクセスプロバイダ（ＰＬＡＰ）モジュールおよびクリデンシャルプロバイダモジュールを含み、
各前記モジュールは、前記ログオンＵＩモジュールとのＡＰＩと通信し、
前記ログオンＵＩモジュールは、
クリデンシャルと、
対応する前記ＰＬＡＰモジュールによって指定されるアクセスサービスの選択と
を受け取るための互換性があり、
前記ＡＰＩは、あるドメインで前記１つまたは複数のクリデンシャルデータベースに照らして前記受け取られたクリデンシャルが前記ＡＰＩにより認証されると、前記選択されたアクセスサービスを使用して前記ドメインとの接続を介してネットワークセッションを確立し、維持することができ、
前記ログオンＵＩモジュールによって受け取られた前記クリデンシャルは、それぞれが対応する異なるタイプの前記クリデンシャルを共通のクリデンシャルプロトコルに変換する前記クリデンシャルプロバイダモジュールの対応する１つにより変換され、
各前記クリデンシャルプロバイダモジュールは、前記共通のクリデンシャルプロトコルを有する前記変換後のクリデンシャルを、前記ＡＰＩを通じて前記ＯＳの認証コンポーネントに通信して、前記１つまたは複数のクリデンシャルデータベースに照らして前記変換後のクリデンシャルを認証し、
前記認証が成功すると、前記ＯＳの認証コンポーネントは、前記変換後のクリデンシャルによって識別されるユーザをログオンさせて前記ローカルマシンにアクセスさせることを特徴とするコンピュータ可読媒体。
【請求項３１】
前記ログオンＵＩモジュールは、さらに、
前記クリデンシャルモジュールからのクリデンシャルプロバイダ、および前記クリデンシャルプロバイダモジュールに対応するクリデンシャルプロバイダの描写と、
前記ＰＬＡＰモジュールからのアクセスサービス、および前記ＰＬＡＰモジュールに対応するアクセスサービスと
のフラットリストを要求し、
各前記フラットリストの表示をさせ、
前記表示上の各前記フラットリストからの１つまたは複数の選択を受け取る
命令を含むことを特徴とする請求項３０に記載のコンピュータ可読媒体。
【請求項３２】
各異なるタイプの前記クリデンシャルは、ユーザ名およびパスワード、ハードウェアトークンクリデンシャル、デジタル証明書クリデンシャル、スマートカードクリデンシャル、チャレンジ−リスポンスプロトコルクリデンシャル、目の網膜、人間の顔、ゲートまたは通路、手書き見本、声、におい、指紋、および別のバイオメトリックサンプルからなる群から選択されることを特徴とする請求項３０に記載のコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にはマシンへのアクセスに関し、より詳細には、オペレーティングシステムを有するローカルマシンおよび／またはリモートマシンにログオンするためのクリデンシャル（credential：信用証明物、あるいは認証ともいう）によるエンティティ（事業体）、ユーザ、またはプリンシパル（本人）の識別および認証に関する。
【背景技術】
【０００２】
図１に、ユーザがローカルマシンのオペレーティングシステムの認証インフラストラクチャ（インフラ基盤）にログインすることを可能にする例示的な従来プロセス１００を示す。本明細書で使用するローカルマシンとは、パーソナルコンピュータ、ハンドヘルドコンピュータ、シック（thick）クライアントデバイス、シン(thin)クライアントデバイス、携帯情報端末、エキスパートシステムなど、オペレーティングシステムを有するコンピューティングデバイスである。認証インフラストラクチャは、米国ワシントン州レドモンドのマイクソフト社から提供されるＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムなどのような、デバイスのオペレーティングシステムを介してコンピューティングデバイスへのアクセス権を得るために、クリデンシャルを使用してユーザを認証する。ここでは、クリデンシャルの認証は、対応するクリデンシャルを用いてユーザ、エンティティ、またはプリンシパルを認証することと同等の意味とし、これらの語句および概念は本明細書では同義で使用する。
【０００３】
プロセス１００のブロック１０２で、オペレーティングシステムがログオンプログラムを実行する。ログオンプログラムは、３つの異なる認証モジュールの１つのみにコントロール（制御）を渡すことができる。別の言い方をすると、ローカルマシンは、認証がそれとともに行われることができる認証モジュールを１つしか有することができない。ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステム（ＯＳ）の場合、デフォルトの認証モジュールは、グラフィカル識別および認証モジュール（Graphical Identification and Authentication module）であり、これをここでは「ＧＩＮＡ」と称する。ＷＩＮＤＯＷＳ（登録商標）ＯＳにおけるＧＩＮＡは、ユーザがユーザ名およびパスワードを入力するログオンダイアログボックスを含む画面を表示するログオンユーザインターフェースを実装する動的リンクライブラリ（＊．ｄｌｌ）中のモジュールである。ＧＩＮＡは、ユーザによって提示されるクリデンシャルを使用することにより、コンピューティングデバイスのオペレーティングシステムを通じてユーザを認証するために存在する。ユーザのクリデンシャルは、ローカルおよびネットワーク上のリソースへのアクセス権を得るために使用される、識別と識別の証明とを含む情報のセットによって表される。
【０００４】
クリデンシャルの例は、ユーザ名およびパスワード、スマートカード、生体認証（biometric credentials）、Ｘ．５０９デジタル証明書、およびその他の類の証明書である。図１に示すＧＩＮＡ１０４は、標準的なＷＩＮＤＯＷＳ（登録商標）ＯＳのモジュールであり、ユーザインターフェース１０３でユーザ名とパスワードを入力するようにユーザを促すことなど、従来の対話型のログオンプロセスを必要とする。ＧＩＮＡ１０４を実行すると、ローカルセキュリティ機関（Local Security Authority）（ＬＳＡ）モジュール１０６にコントロールが渡される。ＬＳＡモジュール１０６は、ローカルのセキュリティアカウントマネジャ（ＳＡＭ）データベース１０８ａにアクセスする。このデータベースはそれぞれ、コンピューティングデバイスおよび／または関連する環境についてのログオンおよびセキュリティ情報のためのローカルストアである。クリデンシャルデータベース１０８ｂは、ローカル（局所）であってもリモート（遠隔地）であってもよく、指紋、パスワード、網膜情報、顔認識情報、およびカスタムＧＩＮＡとの関係でユーザを認証するために使用することができる他のバイオメトリック（生体）情報などのクリデンシャルを記憶することができる。ＬＳＡモジュール１０６は、リモートのクリデンシャルデータベース、トークン（token）プロトコルクリデンシャルサービス、およびチャレンジ−リスポンスプロトコルのクリデンシャルサービス、および／またはアクティブディレクトリ（ＡＤ）およびケルベロス（Kerberos）配布センター（ＫＤＣ）１１０にアクセスするための接続を確立することもできる。ケルベロスは、ネットワークへのログオンと、秘密鍵暗号方式によりその通信を暗号化することとを試みるユーザを識別するネットワーク認証プロトコルである。ＡＤモジュールは、分散コンピューティング環境でアプリケーションがディレクトリリソース（例えばユーザ名や許可事項など）を見つけ、使用し、管理できるようにする技術を使用する。それらのアクセスから、ユーザのクリデンシャルを用いてユーザについて識別と認証を行って、オペレーティングシステムを介してコンピューティングデバイスにログオンするためのユーザのアクセス特権を判断する。識別および認証が成功すると、ユーザをログオンさせ、コントロールがＯＳログオンモジュール１０２に返される。そしてユーザはログオンされ、続いてコンピューティングデバイスを使用することができる。
【０００５】
図１に示す第１のタイプのパススルーＧＩＮＡモジュール１１２は、当該オペレーティングシステムの開発元でない独立ソフトウェアベンダによって書かれることができるなど、カスタマイズされた識別および認証モジュールである。第１のタイプのパススルーＧＩＮＡモジュール１１２は、スマートカードリーダ１０５とのインターフェースを取り、またデフォルトの本来のオペレーティングシステムＧＩＮＡ１１４モジュールともインターフェースをとる。第１のタイプのパススルーＧＩＮＡモジュール１１２は、リーダに挿入されたスマートカードからスマートカードリーダ１０５によって読み取られたクリデンシャルを受け取る。スマートカードリーダ１０５に挿入されたスマートカードから読み取られた証明書、およびユーザから取得された任意の他のクリデンシャルを使用して、クリデンシャルデータベース１０８ａと照らしてユーザを識別および認証することができる。この場合、第１のタイプのパススルーＧＩＮＡモジュール１１２は、ユーザの識別および認証のプロセスに限られた変更を行うことを許可し、同時に、本来のオペレーティングシステムＧＩＮＡ１１４モジュールとインターフェースをとることからデフォルトの識別および認証の振る舞いを維持する。
【０００６】
第２のタイプのパススルーＧＩＮＡモジュール１１６は、当該オペレーティングシステムの標準ＧＩＮＡ１０４に完全に取って代わるものである。第２のタイプのパススルーＧＩＮＡモジュール１１６は、指紋リーダ１０７とのインターフェースをとる。第２のタイプのパススルーＧＩＮＡモジュール１１６は、光学的にスキャンされた指紋の圧痕から指紋リーダ１０７によって読み取られたクリデンシャルを受け取る。指紋リーダ１０７に挿入された指から光学的にスキャンされた指紋の圧痕と、ユーザから得られる任意の他のクリデンシャルを使用して、クリデンシャルデータベース１０８ｂに照らしてユーザを識別および認証することができる。第２のタイプのパススルーＧＩＮＡモジュール１１６は、ＯＳ（オペレーションシステム）の標準的なＧＩＮＡとはインターフェースを取らずに、ＬＳＡ１０６と直接インターフェースをとる、カスタマイズされた識別および認証モジュールである。第１のタイプのパススルーＧＩＮＡモジュール１１２と異なり、第２のタイプのパススルーＧＩＮＡモジュール１１６は、ユーザがログオンする際に表示されるユーザインターフェースの完全なコントロールを許可する。典型的な問題は、上記のように、ＧＩＮＡ１０４、第１のタイプのパススルーＧＩＮＡモジュール１１２、および第２のタイプのパススルーＧＩＮＡモジュール１１６のうち１つしかオペレーティングシステムとともに使用できないことである。言い換えると、カスタムまたはデフォルトのＧＩＮＡは、ＯＳがそれを通じてコンピューティングデバイスまたはコンピューティング環境にユーザをログオンさせることができる他のカスタムＧＩＮＡと共存することができない。
【０００７】
上記の問題に加えて、コンピューティングデバイスのオペレーティングシステムにアクセスするために新しいクリデンシャル収集機構、またはその機構に対する変更（例えば生体認証、スマートカード、トークンなどの）を実装する際などに、カスタムのＧＩＮＡに伴って他の制約が生じる可能性がある。そのため、カスタムのＧＩＮＡは、開発者に多大なコーディングの負担を課す。新しい、または変更を加えたクリデンシャル収集機構を実装するには、開発者は、コンピューティングデバイスへのアクセス権を得ることを望むユーザを認証するための新しい認証モデルを書かなければならない。ＷＩＮＤＯＷＳ（登録商標）ＯＳの場合、開発者は、カスタムのＧＩＮＡがＯＳのシステムコンポーネントと直接対話できるように、複雑なインターフェースと状態管理コードを含むカスタムのＧＩＮＡに対する大幅な改定を書かなければならない。カスタムのＧＩＮＡのコーディングが不良であると、ＯＳの堅牢性が損なわれる。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
カスタムまたはデフォルトのＧＩＮＡを入れ替えることは、そうしたＧＩＮＡがＯＳの最も重要なセキュリティコンポーネントの１つであることから、特に慎重を要する。ＧＩＮＡの入れ替え方が不良であると、ＯＳの堅牢性を著しく弱め、既存の機能性を低下させる恐れがある。入れ替えまたはカスタムのＧＩＮＡを開発する複雑性は、開発者が、ＯＳの標準ＧＩＮＡの基礎となるソースコードを得ることも必要とする。さらに、１つのコンピューティングデバイスに２つのクリデンシャル収集方式（例えばＧＩＮＡ）が共存することはできないので、カスタムのＧＩＮＡを配置することは、デフォルトのＧＩＮＡを入れ替えることを意味する。この結果、独立ソフトウェアベンダは、複数の認証インフラストラクチャを用いてユーザがログオンすることを可能にする、どの環境にも配置することが可能な解決法を構築することができない。ユーザが、選択可能なネットワークセッションを介してなどにより、共存する異なる認証インフラストラクチャにログオンすることを可能にするログオン解決法を提供し、そのログオン解決法が上述の問題点を解決するのであれば、当技術分野において好都合であろう。
【課題を解決するための手段】
【０００９】
本発明に係る各種実施において、複数の共存する異なるクリデンシャルプロバイダモジュールのうち対応するモジュールでクリデンシャルが変換される。各モジュールは、対応する異なるタイプのクリデンシャルを共通のクリデンシャルプロトコルに変換する。変換されたクリデンシャルは、クリデンシャルプロバイダアプリケーションプログラムインターフェース（ＡＰＩ）を通じて、ローカルマシンのネイティブオペレーティングシステム（ＯＳ）のログオンユーザインターフェース（ＵＩ）モジュールに通信される。ＯＳのログオンルーチンが呼び出されて、クリデンシャルデータベースに照らして変換後のクリデンシャルによりユーザを認証する。認証が成功すると、変換されたクリデンシャルによって識別されるユーザがログオンされてローカルマシンにアクセスする。
【００１０】
他の実施においては、ＯＳのログオンＵＩモジュールにより、事前ログオンアクセスプロバイダ（ＰＬＡＰ）マネジャＡＰＩを介してログオンＵＩに要求が行われる。この行われる要求は、対応する共存する複数の異なるＰＬＡＰモジュールにアクセスサービスのフラットリスト（flat list）を要求するものである。アクセスサービスのフラットリストは、ログオンＵＩモジュールによって表示されるディスプレイに表示される。クリデンシャルの入力と、ディスプレイ上のフラットリストからの１つのアクセスサービスの選択とが受け取られる。選択されたアクセスサービスを使用してネットワークとの接続が確立されると、最初の認証のために当該アクセスサービスにあるクリデンシャルデータベースにクリデンシャルが渡される。最初の認証が成功すると、クリデンシャルがＰＬＡＰ  ＡＰＩからログオンＵＩモジュールに通信される。ログオンＵＩモジュールからＲＰＣコールが行われて、クリデンシャルをＯＳログオンモジュールに渡す。次いで、クリデンシャルは、ＬＳＡログオンユーザコールによりＯＳログオンモジュールからＬＳＡに渡される。次いで、第２の認証がＬＳＡによりクリデンシャルデータベースに照らして行われる。第２の認証が成功すると、クリデンシャルによって識別されるユーザがログオンされて、ＯＳを実行するローカルマシンを使用する。
【発明を実施するための最良の形態】
【００１１】
本発明に係る諸実施のより完全な理解は、添付図面と併せて以下の詳細な説明を参照することにより得られよう。
【００１２】
本明細書の開示および図面中では、同一の符号を使用して、同様の構成要素および機能を参照することとする。一連の１００番台の番号は初めに図１に示す特徴を参照し、一連の２００番台の番号は初めに図２に示す特徴を参照し、一連の３００番台の番号は初めに図３に示す特徴を参照する。以下同様である。
【００１３】
本発明に係る各種の実装が、コンピューティングデバイスのオペレーティングシステムとインターフェースをとり、オペレーティングシステムとの相互動作が可能な共存するモジュールを提供しており、各モジュールは、オペレーティングシステムを介してローカルおよびネットワーク上のリソースへのアクセス権を得るために使用される識別と識別の証明とを含む情報のセット（例えばクリデンシャル）を受け取り、その情報を用いてプリンシパル、エンティティ、またはユーザを認証することができる。さらに、モジュールとオペレーティングシステムとの間のインターフェースの安定性を保つことにより、他のモジュールによって行われる識別および認証のプロセスに影響を与えることなく、モジュールの任意の１つおよびオペレーティングシステムに変更を加えることができる。
【００１４】
図２ａに、ローカルマシンのオペレーティングシステムを介してログオンし、それによりローカルおよびネットワーク上のリソースへのアクセス権を得ようとするユーザを識別および認証する例示的プロセス２００ａを図解するフローチャートを示す。複数のクリデンシャルプロバイダモジュール２０２が各種の独立ソフトウェアベンダによって提供されており、これらのいずれかをローカルマシンによって使用してユーザを識別および認識することができる。このため、それらのクリデンシャルプロバイダモジュール２０２は、ユーザがそれを通じてローカルマシンにログオンされることができる、オペレーティングシステムとの共存インターフェースとなっている。
【００１５】
各クリデンシャルプロバイダモジュール２０２は、異なる識別および認証プロセスを使用する。あるクリデンシャルプロバイダモジュール２０２は、ユーザ名およびパスワードをクリデンシャルとして受け取るユーザインターフェース（ＵＩ）１０７を使用する。別のクリデンシャルプロバイダモジュール２０２は、トークン２０８を使用する。例として、トークン２０８は物理的なデバイスとすることができる。その物理的デバイスは、ユーザがコンピューティングデバイスへのログインを試みる際にリーダによって読み取られる数を記憶する。そのようなログインが行われるたび、あるいは時間に基づくアルゴリズムを介した周期的な間隔で、トークン２０８に記憶された数が変化する。新しい数は、将来行われる認証のためにコンピューティングデバイスに記憶することもできる。リーダにトークン２０８を読み取らせるだけでなく、個人識別番号（ＰＩＮ）を入力するようにユーザを促すこともできる。指紋リーダ１０３および／またはスマートカードリーダ１０５をさらに他の個々のクリデンシャルプロバイダモジュール２０２によって使用して、それぞれ、指紋リーダ１０３に押し付けられたユーザの指のクリデンシャルとして指紋を読み取り、スマートカードリーダ１０５に挿入されたスマートカードからクリデンシャルを読み取ることができる。言うまでもなく、目の網膜スキャナモジュール、顔認識カメラモジュール、ゲートまたは歩行認識カメラモジュール、手書き認識モジュール、音声認識モジュール、におい認識モジュール、遺伝コード認識モジュール、および他の同様の生体認証モジュールなどの他のクリデンシャルリーダを使用して、さらに別のクリデンシャルプロバイダモジュール２０２にクリデンシャルを提供することができる。
【００１６】
共存するクリデンシャルプロバイダモジュール２０２の使用については、各種の代替方式が可能である。例えば、ローカルマシンは、すべてあるいは一定のユーザを複数の認証方式で認証することを要求することができる。そのような複数方式の認証が要求される例として、ローカルマシンにログオンするために２つの異なるスマートカードで認証することをユーザに要求することができる。別の例では、複数の方式のうちどの方式を使用してローカルマシンにログオンするかの選択権をユーザに与えることができる。例えば、ユーザは、ローカルマシンにログオンするために、パスワードをタイプ入力するか、指紋センサに指を挿入するかのいずれかを選ぶことができる。
【００１７】
各クリデンシャルプロバイダモジュール２０２は、クリデンシャルを受け取り、そのクリデンシャルを共通のクリデンシャルプロトコルに変換することができる。変換されたクリデンシャルのクリデンシャルプロトコルは、そのクリデンシャルに、ローカルマシンのネイティブオペレーティングシステムの認証コンポーネントによって認証するための互換性を持たせる。変換されたクリデンシャルの認証は、クリデンシャルデータベースに照らして行われる。認証が成功すると、そのクリデンシャルで識別されるユーザは、ローカルマシンにアクセスするためにネイティブオペレーティングシステムにログオンされる。
【００１８】
各クリデンシャルプロバイダモジュール２０２は、オーセンティケータ（認証側）との通信に対処するためにクリデンシャルプロバイダアプリケーションプログラムインターフェース（ＡＰＩ）２０４とインターフェースをとる。クリデンシャルプロバイダＡＰＩ２０４は、ログオンユーザインターフェース（ＵＩ）２０６とすることができる呼び出し側とインターフェースをとる。ログオンＵＩ２０６は、ユーザからクリデンシャルを受け取り、管理するクリデンシャルマネジャとすることができる。ログオンＵＩ２０６は、オペレーティングシステム（ＯＳ）のログオンモジュール１０２に対してリモートプロシージャコール（ＲＰＣ）を使用する。ＯＳログオン１０２は、コンピューティングデバイスのオペレーティングシステムとのインターフェースである。ＯＳログオン１０２は、ローカルセキュリティ機関（ＬＳＡ）モジュール１０６に対してローカルセキュリティ機関（ＬＳＡ）ログオンユーザコールを行う。上記で図１に関して述べたように、ＬＳＡモジュール１０６は、一般的なユーザ名とパスワードによる識別および認証を行うために、ローカルのセキュリティアカウントマネジャ（ＳＡＭ）データベース１０８ａにアクセスする。ＬＳＡモジュール１０６は、ローカルに格納されたクリデンシャルデータベース１０８ｂにアクセスして、クリデンシャル読み取りデバイス１０３〜１０７および２０８の１つなどの読み取りデバイスによって収集されたクリデンシャルを用いて、プリンシパル、エンティティ、あるいはユーザを識別および認証することもできる。
【００１９】
変換されたクリデンシャルは、クリデンシャルプロバイダＡＰＩ２０４を通じてログオンＵＩ２０６に通信され、そこからＯＳログオン１０２に通信され、ＬＳＡモジュール１０６を通じてローカルの認証を行ってユーザをローカルマシンにログオンさせる。あるいは、ＬＳＡモジュール１０６は、あるドメインとの間に確立された接続を通じて、ローカルマシンの外部でリモートアクセスを行うこともできる。アクティブディレクトリ（ＡＤ）およびケルベロス配布センター（ＫＤＣ）１１０がそのドメインに格納され、アクセスされることができる。そのアクセスから、変換されたクリデンシャルを用いてユーザに識別および認証を行って、ＯＳを介してローカルマシンにログオンするためのユーザのアクセス特権を判断する。識別および認証が成功すると、ユーザをログオンさせる。ユーザは、ＯＳを通じてログオンすると、続いてローカルマシンを使用することができる。
【００２０】
例示的な一般的なログオンプロセス２００ｂを図２ｂに示し、図２ａを参照して説明する。ログオンプロセス２００ｂは、ブロック２１２で開始し、ここでローカルマシンのＯＳがログオンユーザインターフェース（ＵＩ）２０６をロードする。ブロック２１４で、ログオンＵＩ２０６は、クリデンシャルプロバイダＡＰＩ２０４を使用して、登録されたすべてのクリデンシャルプロバイダ２０２をロードし、初期化する。
【００２１】
ブロック２１６で、ＯＳログオン１０２は、ユーザが見、対話するＵＩに初期画面を表示するようにログオンＵＩ２０６に指示する。ブロック２１８で、ユーザは、Ｃｏｎｔｒｏｌ−Ａｌｔ−Ｄｅｌｅｔｅ（ＣＡＤ）のキーシーケンスを入力する。ユーザがＣＡＤキーシーケンス、あるいはＳｅｃｕｒｅ  Ａｔｔｅｎｔｉｏｎ  Ｓｅｑｕｅｎｃｅ（ＳＡＳ）である別のキーシーケンスを入力すると、ＯＳのみが傍受できることが好ましいハードウェアイベントが生成される。このユーザ動作の結果、ブロック２２０で、ＯＳログオン１０２が、ログオンクリデンシャルを受け取れる状態であることをログオンＵＩ２０６に通知する。ブロック２２２で、ログオンＵＩ２０６は、デフォルトのクリデンシャルプロバイダモジュール２０２によって指示されるログオン用のＵＩを表示する。ログオンＵＩ２０６は、すべてのクリデンシャルプロバイダのフラットリストを表示のために提供するようにクリデンシャルプロバイダモジュール２０２に要求する。ブロック２２４で、ログオンＵＩ２０６は、それぞれがクリデンシャルプロバイダモジュール２０２の１つに対応する複数の表示されたクリデンシャルプロバイダからのユーザによる１つの選択を表す入力を受け取る。この入力により、クリデンシャルプロバイダＡＰＩ２０４を通じてユーザの入力と１つまたは複数の外部システムとの対話が開始する。特定のクリデンシャルプロバイダモジュール２０２は、（例えばユーザがクリデンシャル読み取りデバイス１０３〜１０７および２０８の１つを使用することにより）ユーザがＯＳにクリデンシャルを提供するために開始したイベントのタイプに依存することができる。ブロック２２６で、ログオンＵＩ２０６は、ＲＰＣを通じて、ネゴシエートされたクリデンシャルをＯＳログオン１０２に返す。ブロック２２８で、ＯＳログオン１０２は、ＬＳＡ１０６にＬＳＡログオンユーザコールを行ってユーザをログオンさせる。ブロック２３０で、ＯＳログオン１０２は、ログオンＵＩ２０６にＲＰＣを行ってログオンプロセス２００ｂの結果を報告する。ブロック２３２で、ログオンＵＩ２０６は、クリデンシャルプロバイダＡＰＩ２０４を通じて特定のクリデンシャルプロバイダモジュール２０２を呼び出して、ログオンプロセス２００ｂの結果を報告する。次いで、ＯＳログオン１０２にコントロールが返される。ブロック２３４で、ＯＳログオン１０２は、ユーザセッションのセットアップを完了し、ユーザがコンピューティングデバイスにログオンされる。
【００２２】
図３にフローチャートとして示すプロセス３００は、ローカルマシン３００ａがドメイン３００ｂで副認証プロセスを使用してユーザのクリデンシャルでユーザを認証することができるステップを示す。ローカルマシン３００ａの副認証クリデンシャルプロバイダ３０２は、ドメイン３００ｂの副認証機関３０４とインターフェースをとる。ドメイン３００ｂは、例えばサードパーティサーバ（第三者サーバ）である。副認証クリデンシャルプロバイダ３０２は、上記で図２との関連で述べたように、クリデンシャルプロバイダＡＰＩ２０４とインターフェースをとる。そのため、プロセス３００は、ブロック２０６、１０２、および１０６についてはプロセス２００ａと同様である。プロセス３００では、ＡＤ／ＫＤＣ１１０はＬＳＡ１０６とインターフェースをとる。ドメイン３００ｂの副認証機関３０４は、副認証プロトコルを使用して、副認証クリデンシャルプロバイダ３０２にログオンクリデンシャルを戻す。
【００２３】
プロセス３００は、ユーザのクリデンシャルを使用して、ローカルマシンの認証方式ではなくサードパーティの認証方式に照らしてユーザが認証される事前認証プロセスを使用する。この認証に続き、サードパーティの方式は、ＯＳと互換性のあるクリデンシャルを返して、ローカルマシンのＯＳを通じてユーザをローカルマシン３００ａにログインさせる。実際には、副認証クリデンシャルプロバイダ３０２は、クリデンシャルプロバイダＡＰＩ２０４を通じて図３に示すログオンＵＩ２０６とのインターフェースをとる。ユーザがクリデンシャルを入力すると、そのクリデンシャルはローカルマシン３００ａからドメイン３００ｂのＡＤ／ＫＤＣ１００に送信されるが、ドメイン３００ｂは、ネットワークを通じてローカルマシン３００ａと通信するサーバとすることができる。ＡＤ／ＫＤＣ１００は、ドメイン３００ｂの副認証機関３０４と連携して、ユーザのクリデンシャルを用いてユーザを認証する。副認証機関３０４は、副認証プロバイダ３０２にログオンクリデンシャルを返す。副認証プロバイダ３０２は、クリデンシャルプロバイダＡＰＩ２０４を通じてログオンＵＩ２０６にクリデンシャルを返す。ログオンＵＩ２０６は次いで、ＲＰＣを介してそのクリデンシャルをＯＳログオン１０２に渡すことができる。したがって、ローカルマシン３００ａのＯＳは、ドメイン３００ｂのサードパーティの副認証機関３０４から遮蔽されることになる。
【００２４】
図４に、ウェブサイトのクリデンシャルリクエスタ（要求側）およびオーセンティケータ（認証側）４０６があるウェブサイトなどあるドメインにアクセスするために、補足的なクリデンシャルによってプリンシパル、エンティティ、またはユーザを認証することができる例示的プロセス４００を表すフローチャートを示す。したがって、プリンシパル、エンティティ、またはユーザがローカルマシンにログオンされると、そのプリンシパル、エンティティ、またはユーザが、補足的なクリデンシャルを処理することによりウェブサイトのクリデンシャルリクエスタおよびオーセンティケータ４０６によって遠隔から認証される。クリデンシャルユーザインターフェース（ＵＩ）４０２は、ローカルマシンで実行されるアプリケーション４０４とともに補足的なクリデンシャルを要求する。ローカルマシンは、ユーザがログオンされたＯＳを有する。ローカルマシンは、補足的クリデンシャルを受け取ることができる入力装置（例えば１０３、１０５、１０７、および２０８）と通信する。共存する複数の異なるクリデンシャルプロバイダモジュール２０２の１つを使用して、入力装置（例えば１０３、１０５、１０７、および２０８）でユーザから補足的クリデンシャルを収集する。補足的クリデンシャルが収集されると、そのクリデンシャルは認証のためにアプリケーション４０４に与えられる。アプリケーション４０４は、補足的クリデンシャルを要求し、受け取ることができる、ローカルマシンで実行されるローカルアプリケーションである。各クリデンシャルプロバイダモジュール２０２は、入力装置（１０３、１０５、１０７、２０８）の１つから、補足的クリデンシャルなどそれぞれ異なるタイプのクリデンシャルを収集することができ、各クリデンシャルプロバイダモジュール２０２は、クリデンシャルプロバイダモジュールＡＰＩ２０４を通じてローカルマシンのＯＳとインターフェースをとる。クリデンシャルプロバイダＡＰＩ２０４は、クリデンシャルプロバイダモジュール２０２によって収集されたクリデンシャルを受け取り、各クリデンシャルプロバイダモジュール２０２は、ローカルマシンにアクセスするためにユーザなどのプリンシパルをＯＳにログオンさせるために、プリンシパルを認証するために自身が収集する個々のタイプのクリデンシャルをクリデンシャルプロバイダＡＰＩ２０４に提供することができる。
【００２５】
図５ａ〜図１０および図１２に、様々なユーザログオンエクスペリエンスを提供する各種実施を示す例示的なディスプレイ画面を示す。ある実施は、クリデンシャルプロバイダモジュールへの入力としてユーザ名とパスワードを用い、これを、ユーザがログオン画面にクリデンシャルを入力するデフォルトの方式とすることができる。別の実施では、公開鍵インフラストラクチャ（ＰＫＩ）のスマートカードを使用して、スマートカードクリデンシャルプロバイダモジュールと連携してクリデンシャルを取得する。さらに別の実施では、指紋のクリデンシャルとともにクリデンシャルプロバイダモジュールを使用し、この場合、クリデンシャルプロバイダは、指紋のスキャンを介してユーザの指紋を用いてユーザを識別および認証する。
【００２６】
下記で述べる実施には、使用するクリデンシャルプロバイダモジュールをユーザがどのように選択するかに応じて、ユーザによって選択されるかまたはイベント駆動型であるクリデンシャルプロバイダが含まれる。ユーザによって選択されるクリデンシャルプロバイダは、ユーザインターフェース（ＵＩ）でユーザに提供される２つ以上のクリデンシャルプロバイダの中からユーザによって選択される。図５ａに、ユーザによって選択された１つのみのクリデンシャルプロバイダを有するＵＩとして表示するようにＯＳを構成することが可能なデフォルトの画面表示の一例を示し、このＵＩは、ユーザ名とパスワードの入力のみを促す。図５ａの場合、ＯＳを実行するコンピューティングデバイスには、ユーザによって選択されたこれ以外のクリデンシャルプロバイダはインストールされない。
【００２７】
図５ｂに示すように、もう１つの電子メール（ｅメール）のアドレスまたはユーザ名について変名またはユーザ名を共通にすることができる。そのため、クリデンシャルプロバイダは、同図に示すように、ユニバーサルプリンシパル名（ＵＰＮ）の使用に関して柔軟性がなければならない。ＵＰＮは、インターネット標準ＲＦＣ８２２に基づくインターネットスタイルのユーザのログオン名である。慣例により、このログイン名は、ユーザの電子メール名に対応していなければならない。ＵＰＮは、好都合に電子メールの名前空間とログオンの名前空間を統合するので、ユーザは１つのみの名前を覚えればよい。このように、図５ｂのＵＩはＵＰＮスタイルの名前をサポートし、オートコンプリート機能によりＵＰＮ中の多くの文字が提供されるため、ユーザはそれらの文字をキー入力する必要がない。これを行うために、ディレクトリセンター（ＤＣ）を照会し、表示のためにＤＣから図５ｂのＵＩにＵＰＮのリストを返すことができる。したがって、ログオンＵＩは、クリデンシャルプロバイダモジュールのためのクリデンシャルのユーザ名部分としてＵＰＮを使用する。また、ユーザの列挙リストがキャッスルまたはワークグループに加えられている場合は、ログオンＵＩを使用してそのリストを表示することもでき、または、すべてのローカルマシンアカウントをログオン画面に表示することもできる。ユーザの列挙リストがあるドメインに加えられている場合はログオンＵＩを使用してそのリストを表示することもでき、現在ログオンしているユーザのみについてＵＩがユーザごとにアイコンまたはタイルを表示する。ＵＩは、まだそのドメインにログオンしていないユーザが使用するために１つのアイコン表示またはタイル表示をすることができる。
【００２８】
新規ユーザについてのクリデンシャルプロバイダがローカルマシンにインストールされると、図５ｃに示すようにパスワードコントロールの下に表示されるオプションリンク５０４を表示するようにローカルマシンを構成することができる。ユーザは、オプションリンク５０４を選択して、そこから選択することができるクリデンシャルプロバイダのリストを表示することができる。あるいは、ネットワーク管理者または他の情報専門家が、ローカルマシンのユーザが正しいクリデンシャルプロバイダを選択せずに済むように、特定のクリデンシャルプロバイダをデフォルトで選択するポリシーを設定するようにローカルマシンを構成することができる。図６ａに示すように、画面６００ａのＵＩの異なるクリデンシャルプロバイダにそれぞれ対応するアカウントタイプのリスト６０２が表示される。リスト６０２でユーザはＯＳにログオンするために使用したいアカウントのタイプを選択することができ、一方、ログオン接続タイプフィールド６０４で、ユーザは、カスタムの仮想私設網（ＶＰＮ）接続またはダイヤルアップ接続のためのカスタムダイヤラなど、使用する標準的またはカスタムタイプのリモートアクセスサービス（ＲＡＳ）ログオンを選択することができる。図５ｃのオプションリンク５０４から幅広いオプションのセクションを構築することにより、快適でないあるいは複雑なユーザのログオンエクスペリエンスを不当に生じさせることなく、高度な相互動作可能な機能をユーザのログオンプロセスに組み込むことができる。
【００２９】
画面６００ａのＵＩで示すように、クリデンシャルプロバイダは、ログオンプロセスに追加的な機能を提供することができる。図６ｂの図の画面６００ｂに到達するために、ユーザは、図６ａのリスト６０２中の「Ｎｏｖｅｌｌ」オプションを選択し、このオプションを選択すると、ＵＩが遷移してＡｄｖａｎｃｅｄ  Ｎｏｖｅｌｌ  Ｏｐｔｉｏｎボタン６０６を表示する。ユーザがＮｏｖｅｌｌ  Ｏｐｔｉｏｎボタン６０６をクリックすると、図６ｂに示すようにＮｏｖｅｌｌクライアントログオンＵＩ６０８を表示することができる。この機能により、ユーザは、そのネットワークにログオンする前に、ユーザのローカルマシンと通信するネットワーク上にあるＮｏｖｅｌｌサーバのリストを閲覧することができる。そのような場合、Ｎｏｖｅｌｌクリデンシャルプロバイダは、ログオンスクリプトを追加するサポートを提供することもできる。
【００３０】
図４に示す副認証クリデンシャルプロバイダモジュール４０２は、ユーザインターフェースが、サードパーティのブランディング、ロゴ、商標、またはサービスマークだけを反映し、別の者のそれらは反映しないようにカスタマイズすることができる。一実施では、ユーザは、副認証クリデンシャルプロバイダモジュール４０２を起動するアカウントタイプをリスト６０２から選択することができる。そして、副認証クリデンシャルプロバイダモジュール４０２は、ＵＩを制御して、なおそのＯＳのログオンプロセスと完全に互換性のあるブランド固有のユーザログオンエクスペリエンスをユーザに提供することができる。さらに、ローカルマシンは、複数の副認証クリデンシャルプロバイダモジュール４０２を有することができ、それらの各モジュールが、異なる別個のブランド固有のユーザログオンエクスペリエンスをユーザに提供することができ、なおローカルマシンのＯＳのログオンプロセスと完全な互換性を持つことができる。例として、パーソナルコンピュータをオンラインショッピングモールのキオスクとして使用することができる。このキオスクはインターネットと通信することができ、それぞれが異なる副認証クリデンシャルプロバイダモジュール４０２に対応することができる複数のアイコンを表示することもできる。ユーザが、あるブランドを表す表示アイコンの１つを選択すると、個々の副認証クリデンシャルプロバイダモジュール４０２は、ユーザがＯＳを通じてローカルマシンにログオンされ、そしてそのブランドに対応するインターネットウェブサイトにログオンされる間に、そのブランドに固有の個別のユーザログオンエクスペリエンスを提供する。
【００３１】
図６ａから図６ｂにそれぞれ示す画面６００ａ〜６００ｂのＵＩは、ユーザ駆動型のクリデンシャルプロバイダに関連する例を提供する。図７ａ〜図９ｃにそれぞれ示す画面のＵＩは、イベント駆動型のクリデンシャルプロバイダに関連する例を提供する。イベント駆動型のクリデンシャルプロバイダは、何らかのユーザ動作に基づいて選択される。そのようなユーザ動作の１つは、ユーザがカードリーダにスマートカードを挿入した際に発生する。生体認証の場合、ユーザ動作は、ユーザが生体センサに身体のいずれか一部を接触させた時、あるいは生体センサで測定されるために身体の一部を置いた時に発生する（例えば指紋の圧痕が指紋センサによって読み取られる、顔認識ソフトウェアアルゴリズムで分析するためにカメラによって顔が読み取られるなど）。
【００３２】
図７ａの画面７００ａのＵＩは、ユーザがＣＡＤのキーシーケンス（Ｃｔｒｌ＋Ａｌｔ＋Ｄｅｌｅｔｅ）を入力すると表示される。ログオン画面７００ａは、２人のユーザがすでにローカルマシンにログオンしていることを示している。図７ａのアイコン７０２は、ローカルマシンにログオンするためにスマートカードを使用できることをユーザに示している。そしてユーザは、ローカルマシンと通信するデバイス１０５などのカードリーダにスマートカードを挿入する。
【００３３】
スマートカードからユーザのクリデンシャルが読み取られると、図７ａのログオンユーザのリストの表示が消え、図７ｂのログオン画面７００ｂが、ユーザのスマートカードにあった証明書の列挙のみを表示する。この表示は、スマートカードリーダ１０５とそれに対応するクリデンシャルプロバイダモジュール２０２、クリデンシャルプロバイダＡＰＩ２０４、およびログオンＵＩ２０６を使用する協同処理によって行われる。スマートカードには１つしか証明書がないので、ＯＳは自動的にその１つの証明書を選択し、データ入力のプロンプトとしてＰＩＮフィールド７０４をユーザに表示する。次いで図２を参照すると、ユーザがＰＩＮフィールド７０４にＰＩＮをタイプ入力すると、ログオンＵＩ２０６は、スマートカードから読み取られた証明書とともにそのＰＩＮをＯＳログオン１０２に渡す。そして、スマートカードリーダ１０５によって読み取られた証明書とユーザによって入力されたＰＩＮを使用して、クリデンシャルプロバイダＡＰＩ２０４でローカルマシンのＯＳとインターフェースを取るイベント駆動型のクリデンシャルプロバイダモジュール２０２と連携して、ＬＳＡ１０６によりユーザを識別および認証することができる。スマートカードを挿入したユーザが、リーダ１０５中にスマートカードを入れたまま、図７ｂの画面７００ｂのキャンセルボタン７０６を押すと、ログオン画面は、元の状態に戻り、図８ａの画面８００ａに示すように３人のユーザすべてを列挙する。しかし、スマートカードがさらに多くの証明書を含む場合は、ＯＳは、それらの証明書すべてを列挙する表示をさせる。図８ｂの画面８００ｂに参照符号８０４で示すように、ユーザが証明書の１つ８０２にフォーカスを置くと、ＯＳは、ＰＩＮフィールド８０６を含む表示をさせる。そして、ユーザは、ＰＩＮフィールド８０６にＰＩＮを入力することができる。
【００３４】
スマートカードリーダ１０５に対応するイベント駆動型のクリデンシャルプロバイダモジュール２０２は、指紋リーダ１０３に対応する生体認証のイベント駆動型クリデンシャルプロバイダモジュール２０２と似ている。図９ａ〜図９ｃに、指紋クリデンシャルの場合の例示的なユーザログオンエクスペリエンスを示す。図９ａに示すように、スタンドアロンのローカルマシンは、４つがアカウントする（４人のユーザがローカルマシンにアクセスする特権を有する）ことを示す画面を描く。図９ａの画面のアイコン９００ａは、ローカルマシンに指紋センサがインストールされていることを表す。ユーザは、図２に示す周辺指紋センサ／スキャナ１０３などの指紋センサ／スキャナに指を置く。あるいは、図９ｂに示すようなタッチセンシティブ画面が、光学的にスキャンを行うフィードバック機構である指紋センサアイコン９００ｂを有することもできる。いずれの場合も、指紋センサ／スキャナセンサが起動し、ユーザの指の指紋を読み取る。ユーザは、読み取りプロセスが、図２のイベント駆動型のクリデンシャルプロバイダモジュール２０２を使用してユーザの指紋によりローカルマシンにログオンするためのクリデンシャルとして指紋でユーザの識別および認証に成功した旨のフィードバックを得る。クリデンシャルプロバイダモジュール２０２は、ユーザの指紋の読み取りとクリデンシャルデータベース１０８ｂに記憶された指紋のキャッシュを比較し、ユーザの指紋との一致を見つける。ここではユーザは図９ｃに示すように「Ｒｉｃｈａｒｄ」（リチャード）である。クリデンシャルプロバイダモジュール２０２は、クリデンシャルプロバイダＡＰＩ２０４を介してＲｉｃｈａｒｄのクリデンシャルをログオンＵＩ２０６に渡す。ログオンＵＩ２０６は次いでＲｉｃｈａｒｄのクリデンシャルをＯＳログオン１０２に渡し、ＯＳログオン１０２は、Ｒｉｃｈａｒｄをローカルマシンにログオンさせ、その結果は、図９ｃの表示の参照符号９００ｃのＲｉｃｈａｒｄのユーザタイルによって見ることができる。
【００３５】
前述の図２〜図９ｃにより、クリデンシャルプロバイダモジュールのログオンプロセスのアーキテクチャにおけるセキュリティ機能を設けたプラグインモデルについて説明した。図１０〜図１１を参照して、ログオンプロセスは、ローカルマシンのＯＳと相互動作が可能な１つまたは複数のカスタムの事前ログオンアクセスプロバイダ（ＰＬＡＰ）モジュール１１０２を含むことができる。各ＰＬＡＰモジュール１１０２は、ユーザが、好みのインターネットサービスプロバイダ（ＩＳＰ）へのダイヤルアップモデムを使用する、ケーブルモデムを使用してネットワーク接続を確立する、ネットワーク接続のためにＶＰＮを使用する、ローカルエリアネットワーク接続によるなどのログオン接続タイプを選択することを可能にする。
【００３６】
状況によっては、ローカルマシンは、ネットワークに対してローカルマシンのユーザを認証するためにログオンの目的でネットワーク接続が確立されるように、リモートアクセスサービス（ＲＡＳ）セッションが開始されたときにログオンするように構成されてよい場合がある。例えば、ネットワーク管理者が、ＲＡＳセッションのためにローカルマシンでログオンすることをユーザに要求することができる。その理由は、この要求により、ローカルマシンがネットワーク管理者によって管理されるエンタープライズネットワークとの接続を確立する機会を有する前に、ネットワーク管理者が、ローカルマシンにインストールされているものに対する厳格な管理を有することができるからである。そのようなローカルマシンの厳格な管理としては、インストールすべきアンチウィルスアプリケーションまたは他のアプリケーションとともにローカルマシンを更新すること、またパスワードの周期的な変更を強制することなどが可能である。一部の事例では、エンタープライズネットワークにログオンする前に特定のＲＡＳセッションとのログオン接続を確立することを、エンタープライズネットワーク中のすべてのローカルマシンに要求する場合がある。
【００３７】
図１０に示すように、プルダウン（pull down）メニューアイコン１００６を起動すると、ログオン接続タイプのリストがユーザに提供される。リストの各項目は、対応するアクセスサービスを使用した接続をネットワークまで確立することが可能な個別のログオンプロバイダまたは接続タイプを表す。図１０に示すように、フィールド１００２にユーザ名およびパスワードを入力し、フィールド１００４にアカウントタイプを入力するのとともに、接続タイプとそれに対応するアクセスサービスをリストから選択することがユーザに求められる。ログオン接続タイプとそれに対応するアクセスサービスのリストは、アイコン１００６を起動することによって呼び出されてマシン中のすべての接続を示し、ユーザはそのリストから１つを選択することができる。各接続は、必ずしもそのＯＳのプロバイダによって提供されたものではないが当該ＯＳと互換性があるリモートアクセスサービス（ＲＡＳ）を表す。例えば、ＲＡＳは、ＯＳのプロバイダと関連のない独立ソフトウェアベンダによって提供されるカスタムのダイヤラモジュールである。したがって、カスタムのＲＡＳは、ＯＳとともに提供されるデフォルトのＲＡＳダイヤラを使用する必要性をなくす。ＲＡＳセッションでは、参照符号１００６のリストからユーザによって指定されたネットワークとの接続の確立を試みる際に、フィールド１００２〜１００４にすでに入力されたクリデンシャルを使用する。ユーザによって入力されたクリデンシャルで、ユーザによって選択された接続を確立することができない場合は、追加的なクリデンシャルの提供をユーザに要求するプロンプトが表示される。その追加的なクリデンシャルを使用して、参照符号１００６のリストからユーザによって指定されたログオン接続タイプを介して接続を行う試みが再度行われる。この再度の試みが成功してネットワークとの接続が確立された場合は、上記で図２〜図９ｃとの関係で述べたログオンプロセスで使用するために新しいクリデンシャルが返される。
【００３８】
図１０の画面１０００に示すユーザインターフェースについて、ユーザが指定したアクセスサービスとの接続タイプを確立する例示的プロセス１１００を図解する図１１を参照して、さらに説明することができる。ログオンＵＩ２０６は、事前ログオンアクセスプロバイダ（ＰＬＡＴ）マネジャＡＰＩ１１１１を通じて、対応する接続タイプとアクセスサービスのセットのフラットリストを提供するようにＰＬＡＰモジュール１１０２に要求する。フラットリストにあるアクセスサービスは、例えば、カスタムのダイヤルアップアクセスサービス１１０６、カスタムのＶＰＮアクセスサービス１１０８、および任意の他のタイプのカスタムまたはデフォルトのアクセスサービス１１０４に対応する。各アクセスサービス１１０４〜１１０８の表現がログオンＵＩ２０６によりユーザに表示される。ユーザからの入力はフィールド１１０２〜１００６に行われ、この入力には、ユーザ名、パスワード、アカウントタイプ、および参照符号１００６のリストからユーザによって指定された接続タイプ、およびそれに対応するアクセスサービスが含まれる。ＰＬＡＰマネジャＡＰＩ１１１１は、ユーザによって選択されたアクセスサービスを使用してあるドメインとの接続を確立することを試みる。接続が成功しなかった場合、ＰＬＡＰマネジャＡＰＩ１１１１は、ユーザが選択したアクセスサービスとの接続の確立を再度試みる前に、ログオンＵＩ２０６に、追加的クリデンシャルなどのさらなる情報をユーザに求めさせることができる。
【００３９】
ユーザが選択したアクセスサービスを使用してドメインとの接続がＰＬＡＰマネジャＡＰＩ１１１１によって確立されると、ユーザによって入力されたユーザ名とパスワードが、そのドメインで対応するユーザ、エンティティ、あるいはプリンシパルを認証するためのクリデンシャルとして渡される。クリデンシャルによるユーザ、エンティティ、あるいはプリンシパルの識別および認証の成功は、ＰＬＡＰマネジャＡＰＩ１１１１からログオンＵＩ２０６に伝達される。ログオンＵＩ２０６は、ＯＳログオン１０２に対するＲＰＣを行い、ＲＰＣはクリデンシャルも伝達する。ＯＳログオン１０２は、ＳＡＭ１０８ａのクリデンシャルデータベース、あるいはローカルまたはリモートのクリデンシャルデータベース１０８ｂと照らしてローカルの識別および認証を行うために、ＬＳＡログオンユーザコールとしてＬＳＡ１０６にクリデンシャルを渡す。あるいは、ＬＳＡ１０６は、あるドメインで識別および認証を行うために、ドメイン接続を通じてＡＤ／ＫＤＣ１１０にクリデンシャルを渡すこともできる。クリデンシャルを使用して、ＳＡＭ１０８ａ、クリデンシャルデータベース１０８ｂ、またはＡＤ／ＫＤＣ１１０のいずれかを使用してユーザを識別および認証すると、その成功がＯＳログオン１０２に伝えられて、ユーザをローカルマシンにログオンさせるプロセスが完了される。一部の実施では、ＳＡＭ１０８ａ、クリデンシャルデータベース１０８ｂ、およびＡＤ／ＫＤＣ１１０は同一のドメインにあることができ、同一のデータベースであってもよい。他の実施では、トークンプロトコルクリデンシャルサービスおよび／またはチャレンジ−リスポンスプロトコルのクリデンシャルサービスに照らして対応するクリデンシャルを用いて、プリンシパル、エンティティ、またはユーザの認証を行うことができる。
【００４０】
上述のクリデンシャルプロバイダのログオンプラグインモデルは、変形形態の実施で事前ログオンアクセスプロバイダと組み合わせることができ、次いで図１２〜図１３を参照してその例を実証する。図１２に、ユーザがユーザ名およびパスワードを入力し、ログオンオプションボタン１２０２を選択することが可能な画面１２００の一例を示す。ユーザがログオンオプションボタン１２０２を選択すると、アカウントのフラットリストが表示され、ユーザはそのリストからアカウントタイプ１２０８ａの選択を行うことができる。アカウントタイプ１２０８ａの選択は、特定のクリデンシャルプロバイダについてのユーザのログオンプラグインモデルの選択を表す。画面１２００に示すように、ユーザはアカウントタイプ「Ｎｏｖｅｌｌ」を選択している。「Ｎｏｖｅｌｌ」のアカウントタイプを選択したことにより、ユーザはさらに「ａｄｖａｎｃｅｄ  Ｎｏｖｅｌｌ  ｏｐｔｉｏｎｓ」のボタン１２０８ｂを選択することができる。「ａｄｖａｎｃｅｄ  Ｎｏｖｅｌｌ  ｏｐｔｉｏｎｓ」ボタン１２０８ｂを選択すると、Ｎｏｖｅｌｌ  ＵＩ１２０８ｃが表示され、さらなるクリデンシャルを入力するようにユーザを促す。これらのさらなるクリデンシャルは、Ｎｏｖｅｌｌサーバのアクセスデータベースに照らしてユーザを識別および認証するために使用される。ユーザは、プルダウンメニューアイコン１２１０をクリックすることにより、アクセスサービスのフラットリストを見、そのリストからＰＬＡＰ（事前ログオンアクセスプロバイダ）の選択を行うこともできる。
【００４１】
プロセス１３００は、それぞれがログオンＵＩ２０６との個々のＡＰＩ１３１２を有するＰＬＡＰモジュールとクリデンシャルプロバイダモジュールの両方を含む複数のモジュール１３０２を示す。各ＰＬＡＰモジュール１３０２は、いくつかのデフォルトまたはカスタムの事前ログオンアクセスプロバイダの１つに対応することができる。各ＰＬＡＰモジュール１３０２は、ユーザがプルダウンメニューアイコン１２１０を起動した後にログオンＵＩ２０６によって表示されるアクセスサービスのフラットリストからユーザによって選択することができる。各ＰＬＡＰモジュール１３０２は、ローカルおよび／またはリモートのクリデンシャルデータベースに照らしてクリデンシャルを使用してユーザを認証するために、異なるタイプの接続とそれに対応するアクセスサービスを通じて、個々のネットワークとの接続を確立することができる。アクセスサービスのフラットリストは、ログオンＵＩ２０６によりＰＬＡＰモジュール１３０２に要求される。
【００４２】
ユーザはログオンＵＩ２０６により、ユーザが選択したデフォルトまたはカスタムのクリデンシャルプロバイダモジュール１３０２によって指示されるユーザ名やパスワードフィールドなどのクリデンシャルを図１２のフィールドに入力するように促される。各クリデンシャルプロバイダモジュール１３０２は、上記のようにリーダ１０３〜１０７および２０８に対応することができる。それら入力されたクリデンシャルは、ローカルマシンで、対応するクリデンシャルプロバイダモジュール１３０２によってローカルに処理される。クリデンシャルプロバイダモジュール１３０２は、指紋リーダ１０３によって受け取られた生体クリデンシャル、またはスマートカードリーダ１０５によって読み取られた証明書クリデンシャルを変換するなどにより、入力されたクリデンシャルに変換を行うように構成することが可能である。クリデンシャルプロバイダモジュール１３０２からの変換後のクリデンシャルは、ローカルマシンのＯＳによるさらなる識別および認証のための互換性を持たせたクリデンシャルプロトコルである。このように、この元のクリデンシャルから変換されたクリデンシャルへの変換は、ローカルマシンでローカルに行うことができる。この元のクリデンシャルから変換後のクリデンシャルへの変換が行われると、変換後のクリデンシャルがクリデンシャルプロバイダモジュール１３０２によりＡＰＩ１３１２を通じてログオンＵＩ２０６に提供される。ログオンＵＩ２０６とのＡＰＩ１３１２は、ユーザによって選択されたＰＬＡＰモジュール１３０２を使用して、対応する接続タイプを用いてアクセスサービスとの接続性を確立する。言い換えると、ＰＬＡＰモジュール１３０２は、画面１２００のアイコン１２１０のプルダウンメニューに表示されたアクセスサービスのフラットリストからユーザによって選択されたアクセスサービスを識別する。
【００４３】
ＰＬＡＰモジュール１３０２は、クリデンシャルプロバイダモジュール１３０２から得られた、ＯＳと互換性のあるクリデンシャルを受け取る。ログオンＵＩ２０６は次いで、ＰＬＡＰモジュール１３０２を呼び出して、対応するユーザによって選択されたアクセスサービスとのセキュリティ機能を設けたネットワーク接続セッションを確立するために、クリデンシャルプロバイダモジュール１３０２から得た変換後のクリデンシャルを使用する。ＰＬＡＰモジュール１３０２は次いで、クリデンシャルデータベースが位置するドメインとの間に、ユーザが選択したアクセスサービスによりネットワークセッションを確立することを試みる。ＰＬＡＰモジュール１３０２が、ユーザが選択したアクセスサービスを使用してネットワークセッションを確立することができない場合、ＰＬＡＰモジュール１３０２は、カスタムＵＩに固有のさらに多くのクリデンシャルを入力するようにユーザを促すカスタムＵＩを表示することをログオンＵＩ２０６に要求することができる。例えば、ＰＬＡＰモジュール１３０２は、Ｎｏｖｅｌｌサーバにおける認証に固有のクリデンシャルを要求することができる。この追加的なクリデンシャルは、ユーザによって選択されたアクセスサービスにより確立されたネットワークセッションへの接続を得るために、インターネット上の特別なウェブサイト（例えばＮｏｖｅｌｌ．ｃｏｍ、ＡＯＬ．ｃｏｍ、ＭＳＮ．ｃｏｍなど）にアクセスするために必要とされる特別なユーザ名および特別なパスワードをさらに入力することを要求することができる。この場合、ＰＬＡＰモジュール１３０２のカスタムＵＩは、さらに多くのクリデンシャルをユーザに求めるダイアログボックスとともに表示される（例えばＮｏｖｅｌｌ  ＵＩ  １２０８ｃ）。
【００４４】
入力されると、ＰＬＡＰモジュール１３０２は次いで、以前に取得された最初のクリデンシャル（ユーザ名およびパスワード）に代えて、新しく入力されたＮｏｖｅｌｌ  ＵＩ  １２０８ｃからのクリデンシャルに交換または切り替える。以前のクリデンシャルは除去され、新しく入力されたクリデンシャルが使用される。新しく入力されたクリデンシャルは、ログオンＵＩ２０６に返される。ログオンＵＩ２０６は次いで、新しく入力されたクリデンシャルを、ＲＰＣコールを介してＯＳログオン１０２に与える。ＯＳログオン１０２は次いで、新しく入力されたクリデンシャルをＬＳＡ１０６に渡す。新しく入力されたクリデンシャルは、識別および認証のためにＬＳＡ１０６でテストされる。ＬＳＡ１０６は、ＳＡＭ１０８ａを用いるローカルデータベースおよび／またはローカルまたはリモートクリデンシャルデータベース１０８ｂに照らして検証する。アクティブディレクトリドメインの場合は、新しく入力されたクリデンシャルの検証は、新しく入力されたクリデンシャルを、ネットワークセッションを通じてＡＤ／ＫＤＣ１１０にあるドメインに渡すことによって行われ、ネットワークセッション接続はＰＬＡＰモジュール１３０２によって確立される。したがって、クリデンシャルプロバイダおよびＰＬＡＰモジュール１３０２を用いた識別および認証プロセスは、ループバックルーチンとすることができる。
【００４５】
さらなる例として、ユーザは、初めに、ローカルマシンでローカルに処理される最初のクリデンシャルセットとしてユーザ名「Ｂｉｌｌ」およびパスワード「１０１」を入力することができる。ユーザによって選択されたアクセスサービスに対応するＰＬＡＰモジュール１３０２は、ＡＰＩ１３１２を通じてログオンＵＩ２０６を呼び出して別のパスワードを入力するようにユーザを促す。ユーザは次いでパスワード「１０２」を入力する。新しいパスワード「１０２」は、ユーザによって選択されたアクセスサービスをネットワークセッション接続中で用いて、接続を通じてクリデンシャルデータベース（例えばＳＡＭ１０８ａ、クリデンシャルデータベース１０８ｂ、ＡＤ／ＫＤＣ１１０など）に送信される。クリデンシャルデータベースに照らして認証が成功すると、パスワード「１０２」がＯＳログオン１０２を通じてログオンＵＩ２０６からＬＳＡ１０６に通信される。ＬＳＡ１０６は、ＡＤ／ＫＤＣ１１０または別のクリデンシャルデータベースに照らして識別および認証するために、パスワード「１０２」をあるドメインに渡す。したがって、最初の動作は、ＰＬＡＰモジュール１３０２の動作であり、２番目の動作はクリデンシャルプロバイダモジュール１３０２の動作となる。
【００４６】
各ＰＬＡＰモジュール１３０２は、セキュリティ機能を設けた識別および認証のルーチンと、ドメインとのネットワーク接続セッションの確立とに関与する。これに加えて、個々のデフォルトまたはカスタムのＰＬＡＰモジュール１３０２によって確立される、ユーザによって選択されたアクセスサービスも、クリデンシャルのさらなる識別および認証を行うためにクリデンシャルプロバイダモジュール１３０２によって用いられるネットワーク接続セッションとすることができる。
【００４７】
ローカルでのクリデンシャルの認証は、ドメインにおけるクリデンシャルの認証とは異なるスタイルとすることができる。このスタイルは、ＡＤ／ＫＤＣ１１０のドメインでアクティブディレクトリ中のユーザアカウントに保持されるデータによって決定されることができる。ユーザアカウントのアクティブディレクトリは、そのユーザアカウントがＲＡＳセッションを確立できるかどうかを指定する属性、そのユーザアカウントが対話式にログオンすることを許可されるかどうかを指定する別の属性など、様々な属性を有することができる。例として、それらの属性は、ドメインのアクティブディレクトリのユーザアカウントに２つの異なるビットとして記憶することができ、そのようなものとして照会されることができる。
【００４８】
他の実施では、ユーザがログオンする時には必ずローカルマシンがインターネットにアクセスする場合など、クリデンシャルプロバイダとＰＬＡＰ両方の使用を組み合わせることができる。この場合、ローカルマシンの起動時に自動的に実行するように起動ルーチンが設定される。この起動ルーチンは、自動的にユーザのログオンクリデンシャルを使用してローカルマシンにログオンし、また、デフォルトのウェブサイトに自動的にアクセスし、そのサイトから情報を取り込むためにインターネットサービスプロバイダ（ＩＳＰ）にもログオンする。あるいは、ローカルマシンに対応する１つのセットと、ユーザによって指定されたＰＬＡＰを通じてアクセスされるＩＳＰに対応する異なるセットの２つのクリデンシャルセットを入力するようにユーザを促すことも可能である。
【００４９】
さらに別の実施では、特定のドメインのＮｏｖｅｌｌ（または他のタイプの）サーバですべてのユーザの識別および認証を必要とするようにローカルマシンを構成することができる。この場合、ローカルマシンのユーザは、サーバ固有のクリデンシャル（例えばＮｏｖｅｌｌサーバタイプのクリデンシャル）を入力するように促される。そしてユーザは、図１２に示すＡｄｖａｎｃｅｄ  Ｎｏｖｅｌｌオプション１２０８ｂを選択する。図１３のログオンＵＩ２０６は、アクセスサービスとＮｏｖｅｌｌサーバに対応するクリデンシャルプロバイダとの両方についてのモジュール１３０２を満たすために、ユーザによって入力されたクリデンシャルを収集する。このクリデンシャルの収集中には、ネットワークを通じたＮｏｖｅｌｌサーバのドメインとの接続はまだ行われていない。ユーザは、アイコン１２１０に関連付けられたアクセスサービスのリストからカスタムのＰＬＡＰダイヤラを選択することもできる。ユーザはそして、すべての入力が行われたことを通知することができる（例えばユーザは「Ｅｎｔｅｒ」キーを押す）。この時点で、例えば、ネットワークトラフィックがローカルマシンから、あるドメインのリモートクリデンシャルデータベースに、およびＡＤ／ＫＤＣ１１０のドメインに開始することができる。ネットワークトラフィックは、ＰＬＡＰモジュール１３０２により対応するアクセスサービスとの間に確立されたネットワーク接続セッションを使用する。ネットワークトラフィックは、メタデータとしてクリデンシャルを含むことができ、このクリデンシャルは、同時に収集され、まず初めに、ＰＬＡＰモジュール１３０２を使用して確立されたアクセスサービスをプリンシパルが使用するための認証のために通信され、２番目にクリデンシャルプロバイダモジュール１３０２を用いたクリデンシャルプロバイダの認証のために、順次通信された可能性がある。このような事情なので、アクセスサービスは、ローカルマシンが、そのドメインにあるアクティブディレクトリと通信することを許容しており、そのアクティブディレクトリは、サードパーティ（第三者）のインターネットサーバであってよい。
【００５０】
例示的コンピューティングシステムおよび環境  
図１４に、ここに記載されるプロセスを実施するために使用することができる例示的なコンピュータシステムおよび環境を示す。コンピュータ１４４２は、図２ａ〜図１３に関連して説明したローカルマシンとすることができ、１つまたは複数のプロセッサあるいは処理装置１４４４、システムメモリ１４４６、およびシステムメモリ１４４６を含む各種のシステムコンポーネントをプロセッサ１４４４に結合するバス１４４８を含む。バス１４４８は、各種のバスアーキテクチャのいずれのものを使用したメモリバスまたはメモリコントローラ、ペリフェラルバス、アクセラレーテッドグラフィックポート、プロセッサバスあるいはローカルバスを含む数種のバス構造のいずれか１つまたは複数を表す。システムメモリ１４４６は、読み取り専用メモリ（ＲＯＭ）１４５０およびランダムアクセスメモリ（ＲＡＭ）１４５２を含む。起動時などにコンピュータ１４４２内の要素間の情報転送を助ける基本ルーチンを含んだ基本入出力システム（ＢＩＯＳ）１４５４がＲＯＭ１４５０に記憶される。
【００５１】
コンピュータ１４４２はさらに、ハードディスク（図示せず）の読み書きを行うハードディスクドライブ１４５６、取り外し可能磁気ディスク１４６０の読み書きを行う磁気ディスクドライブ１４５８、およびＣＤ−ＲＯＭや他の光学媒体などの取り外し可能光ディスク１４６４の読み書きを行う光ディスクドライブ１４６２を含む。ハードディスクドライブ１４５６、磁気ディスクドライブ１４５８、光ディスクドライブ１４６２は、ＳＣＳＩインターフェース１４６６または何らかの他の適切なインターフェースによりバス１４４８に接続される。これらドライブとそれに関連付けられたコンピュータ可読媒体は、コンピュータ１４４２のコンピュータ可読命令、データ構造、プログラムモジュール、およびその他のデータの不揮発性の記憶を提供する。ここに記載される例示的環境ではハードディスク、取り外し可能磁気ディスク１４６０、および取り外し可能光ディスク１４６４を用いるが、当業者には、磁気カセット、フラッシュメモリカード、デジタルビデオディスク、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）など、コンピュータによるアクセスが可能なデータを記憶することができる他のタイプのコンピュータ可読媒体もこの例示的動作環境で使用できることが認識されよう。
【００５２】
ハードディスク１４５６、磁気ディスク１４６０、光ディスク１４６４、ＲＯＭ１４５０、またはＲＡＭ１４５２には、ＯＳ１４７０、１つまたは複数のモジュールまたはアプリケーションプログラム１４７２を含む複数のプログラムモジュールを記憶することができる。例として、これに限定しないが、上記の１つまたは複数のモジュールまたはアプリケーションプログラム１４７２を、クリデンシャルプロバイダモジュール２０２、副認証クリデンシャルプロバイダ３０２、ＰＬＡＰモジュール１１０２、および他のモジュール１３０２とすることができる。ハードディスク１４５６、磁気ディスク１４６０、光ディスク１４６４、ＲＯＭ１４５０、またはＲＡＭ１４５２に記憶することが可能な他の項目には、他のプログラムモジュール１４７４およびプログラムデータ１４７６が含まれる。ユーザは、キーボード１４７８およびポインティングデバイス１４８０などの入力装置を通じてコンピュータ１４４２にコマンドと情報を入力することができる。他の入力装置（図１４には図示せず）としては、指紋リーダ１０３、トークン（引換券）リーダ２０８、スマートカードリーダ１０５、マイクロフォン、ジョイスティック、ゲームパッド、衛星放送受信アンテナ、カメラまたは光学スキャナ、におい検出および分析装置などが可能である。これらおよび他の入力装置は、バス１４４８に結合されたインターフェース１４８２を通じて処理装置１４４４に接続される。モニタ１４８４または他のタイプの表示装置も、ビデオアダプタ１４８６などのインターフェースを介してバス１４４８に接続される。モニタに加えて、パーソナルコンピュータは通例、スピーカやプリンタなどの他の周辺出力装置（図示せず）を含む。
【００５３】
コンピュータ１４４２は、一般に、リモートコンピュータ１４８８などの１つまたは複数のリモートコンピュータとの論理接続を使用するネットワーク環境で動作する。リモートコンピュータ１４８８は、別のパーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイス、あるいは他の一般的なネットワークノードでよく、通例は、上記でコンピュータ１４４２に関して述べた要素の多くまたはすべてを含む。図１４に図示する論理接続は、ローカルエリアネットワーク（ＬＡＮ）１４９０とワイドエリアネットワーク（ＷＡＮ）１４９２を含む。このようなネットワーキング環境は、オフィス、企業内のコンピュータネットワーク、イントラネット、およびインターネットに一般的に見られる。
【００５４】
ＬＡＮネットワーキング環境で使用される場合、コンピュータ１４４２は、ネットワークインターフェースあるいはアダプタ１４９４を通じてローカルネットワークに接続される。ＷＡＮネットワーキング環境で使用される場合、コンピュータ１４４２は通例、インターネットなどのワイドエリアネットワーク１４９２を通じて通信を確立するためのモデム１４９６または他の手段を含む。モデム１４９６は、内蔵型でも外付け型でもよく、シリアルポートインターフェース１４６８を介してバス１４４８に接続される。ネットワーク環境では、パーソナルコンピュータ１４４２に関連して図示するプログラムモジュールまたはその一部をリモートのメモリ記憶装置に記憶することができる。図のネットワーク接続は例示的なものであり、コンピュータ間に通信リンクを確立する他の手段を使用してよいことは理解されよう。
【００５５】
一般に、コンピュータ１４４２のデータプロセッサは、異なる時にコンピュータの各種のコンピュータ可読記憶媒体に記憶された命令によってプログラムされる。プログラムおよびオペレーティングシステムは通例、例えばフロッピー（登録商標）ディスクやＣＤ−ＲＯＭで配布される。そこから、コンピュータの２次メモリにインストールまたはロードされる。実行時に、プログラムおよびオペレーティングシステムは、少なくともその一部がコンピュータの主電子メモリにロードされる。本明細書に記載される本発明は、当該媒体が、マイクロプロセッサあるいは他のデータプロセッサと連携して下記のブロックを実施する命令またはプログラムを含む場合は、上記およびその他の各種タイプのコンピュータ可読記憶媒体を含む。本発明は、本明細書に記載される方法および技術によりプログラムされた場合はコンピュータ自体も含む。
【００５６】
説明のために、ＯＳなどのプログラムおよび他の実行可能プログラムコンポーネントはここでは個別のブロックとして図示しているが、そのようなプログラムおよびコンポーネントは、様々な時にコンピュータの異なる記憶コンポーネントに存在し、コンピュータのデータプロセッサによって実行されることは認識されよう。
【００５７】
結論  
本発明を適用した諸々の実施は、ローカルマシンのＯＳと完全に互換性のある、共存する複数の相互動作可能なモジュールを使用することを可能にする。それら共存する相互動作可能なモジュールは、クリデンシャルプロバイダがローカルマシンのＯＳを介してローカルマシンにログオンするためのログオンプラグインモデルとすることができ、それらのモデルには、これらに限定しないが、デジタル証明書、バイオメトリクス、ユーザ名、およびパスワードのクリデンシャルなどが含まれる。これら共存する相互動作可能なモジュールは、これらに限定しないが、インターネットトンネリングアプリケーション、無線通信アプリケーション、イーサネット（登録商標）ＶＰＮアプリケーション、ダイヤルアップの５６Ｋモデムハードウェアを用いたツイストペア回路交換ネットワークアプリケーションなどを含む事前ログオンアクセスプロバイダとすることもできる。
【００５８】
本発明は、その精神または基本的な特徴から逸脱することなく他の特定の形態で実施することができる。ここに記載される実施形態は、あらゆる点で単に説明を目的とするものであり、制限的なものとは解釈すべきでない。したがって、本発明の範囲は、前述の説明ではなく、特許請求の範囲で表わされる。特許請求の範囲に記載の均等物の意味および範囲内に該当するすべての変更は、特許請求の範囲に包含されるものとする。
【図面の簡単な説明】
【００５９】
【図１】ユーザが識別および認証のためにクリデンシャルを提供することによりローカルマシンにログオンする従来のプロトコルを示すフローチャートである。
【図２ａ】ユーザがローカルマシンにログオンするためにユーザによって提供されたクリデンシャルで、複数のデフォルトまたはカスタムの代替クリデンシャルプロバイダがユーザを識別および認証するプロセスの個々の実施を説明するフローチャートであり、ユーザは、いくつかのクリデンシャルプロバイダモジュールの１つを随意選択することができ、各クリデンシャルプロバイダモジュールは、オペレーティングシステムと相互動作して、オペレーティングシステムによる認証と互換性のあるクリデンシャルを提供するフローチャートである。
【図２ｂ】ユーザがローカルマシンにログオンするためにユーザによって提供されたクリデンシャルで、複数のデフォルトまたはカスタムの代替クリデンシャルプロバイダがユーザを識別および認証するプロセスの個々の実施を説明するフローチャートであり、ユーザは、いくつかのクリデンシャルプロバイダモジュールの１つを随意選択することができ、各クリデンシャルプロバイダモジュールは、オペレーティングシステムと相互動作して、オペレーティングシステムによる認証と互換性のあるクリデンシャルを提供するフローチャートである。
【図３】ユーザがローカルマシンにログオンするために副認証機関のドメインでユーザによって提供されたクリデンシャルで、副認証クリデンシャルプロバイダがユーザを識別子および認証するプロセスの実施を説明するフローチャートであり、副認証機関は、副認証クリデンシャルプロバイダにログオンクリデンシャルを返し、副認証クリデンシャルプロバイダは、オペレーティングシステムによる認証と互換性のあるクリデンシャルを提供するフローチャートである。
【図４】ローカルマシンのアプリケーションの要求で複数の異なる共存するクリデンシャルプロバイダがそれぞれユーザからクリデンシャルを収集することができるプロセスの例示的実施を説明するフローチャートであり、クリデンシャルは、インターネットウェブサイトなどのドメインに送信することができ、そのドメインでクリデンシャルを使用してユーザが認証され、ユーザはローカルマシンを使用してそのドメインにアクセスすることができるフローチャートである。
【図５ａ】クリデンシャルプロバイダにより識別および認証を行うためのユーザ名およびパスワードクリデンシャルをユーザが入力する画面の図である。
【図５ｂ】関連するユーザ名のデータベースを照会すると自動的に表示される、同一の変名またはユーザ名の接頭辞に関連付けられた複数のユーザ名を表示する画面の図である。
【図５ｃ】選択されるとアカウントタイプの選択およびログオン接続タイプの選択を行う画面を表示させるオプションをユーザが選択することができるログオン画面の図である。
【図６ａ】ユーザが個々のプルダウンメニューからアカウントタイプとログオン接続タイプを選択することができるログオン画面の図である。
【図６ｂ】ユーザがＮｏｖｅｌｌアカウントタイプを選択した後に表示されるログオン画面の図であり、Ｎｏｖｅｌｌユーザインターフェースに入力されるべきクリデンシャルを促する画面の図である。
【図７ａ】現在ローカルマシンにログオンしている２つのアカウントを示すログオン画面の図である。
【図７ｂ】ローカルマシンにログオンするための識別および認証のクリデンシャルとして個人識別番号（ＰＩＮ）を入力させるプロンプトが行われているユーザアカウントを示すログオン画面の図である。
【図８ａ】現在ローカルマシンにログオンしている２つのアカウントと、ログオン画面を表示させているローカルマシンによって読み取られているスマートカードの証明書に対応する第３のアカウントを示すログオン画面の図である。
【図８ｂ】２つのアカウントを示し、第１のアカウントは、ログオン画面を表示させているローカルマシンによって読み取られているスマートカードの証明書にクリデンシャルとして一致するＰＩＮを入力するように促されている図である。
【図９ａ】バイオメトリックセンサによって読み取られたクリデンシャルを使用してユーザを認証することができるローカルマシン上の４つのアカウントを示すログオン画面の図である。
【図９ｂ】ローカルマシンで認識された４つのアカウントを示すログオン画面の図であり、ログオン画面は、ローカルマシンがカスタムのクリデンシャルプロバイダと連携してクリデンシャルを使用してユーザを認証するためのクリデンシャルとして指紋の圧痕を読み取る目的でタッチセンシティブであり、指紋を含むクリデンシャルがクリデンシャルプロバイダにより、ローカルマシンのオペレーティングシステムによる認証と互換性のあるクリデンシャルに変換される図である。
【図９ｃ】ユーザの指紋を含むクリデンシャルを使用して、ローカルマシンの使用について対応するユーザが認証された１つのアカウントを示すログオン画面の図である。
【図１０】ログイン画面への入力によって提供されたクリデンシャルを使用してネットワーク接続セッションを確立するために使用される複数のログオン接続タイプの１つとそれに対応するアクセスサービスをユーザが選択することができるログオン画面の図である。
【図１１】ユーザが、ログオン画面への入力によって提供されたクリデンシャルを使用してネットワーク接続セッションを確立するために使用される複数のログオン接続タイプの１つとそれに対応するアクセスサービスを選択することができるログオン画面の使用についてのプロセスの例示的実施形態のフローチャートである。
【図１２】ユーザからクリデンシャルを受け取り、またユーザが複数のログオン接続タイプの１つとそれに対応するアクセスサービスを選択し、複数のクリデンシャルプロバイダの１つを選択することができるログオン画面の図であり、ユーザの各選択を使用してクリデンシャルを用いてユーザを識別および認証することができ、ユーザはログインし、このログオン画面を表示させるローカルマシンを使用することができる画面の図である。
【図１３】ユーザからクリデンシャルを受け取り、またユーザが複数の事前ログオンアクセスタイプの１つを選択することができ、複数のクリデンシャルプロバイダの１つを選択することができるログオン画面の使用についてのプロセスの例示的実施のフローチャートであり、ユーザの各選択を使用してクリデンシャルを用いてユーザを識別および認証することができ、ユーザは選択されたアクセスサービスを通じてログオンして当該ログオン画面を表示させるローカルマシンを使用することができる手順を示すフローチャートである。
【図１４】本明細書に記載されるソフトウェアアプリケーション、方法、およびシステムを完全または部分的に実施することができるコンピューティング環境の一例を示すブロック図である。
【符号の説明】
【００６０】
１０２  ＯＳログオン
１０３ユーザインターフェース
１０４  ＧＩＮＡ（グラフィカル識別および認証モジュール）
１０５  スマートカード
１０６  ローカルセキュリティ機関
１０７  指紋リーダ
１０８ａ  クリデンシャルデータベース
１０８ｂ  クリデンシャルデータベース
１１０  アクティブディレクトリおよびケルベロス配布センタ
１１２  第１のパススルーＧＩＮＡ
１１４  オペレーティングシステムＧＩＮＡ
１１６  第２のパススルーＧＩＮＡ
２０２  クリデンシャルプロバイダモジュール（プロバイダ）
２０４  クリデンシャルプロバイダＡＰＩ
２０６  ログオンＵＩ（例えば呼び出し側、クリデンシャルマネジャ）
２０８  トークンリーダ
３０２  副認証クリデンシャルプロバイダ
３０４  副認証機関
４０２  クリデンシャルＵＩ（例えば呼び出し側、クリデンシャルマネジャ）
４０４  ローカルアプリケーション
４０６  ウェブサイトクリデンシャルリクエスタおよびオーセンティケータ
５０４  オプションリンク
６０２  アカウントタイプリスト
６０４  ログオン接続タイプフィールド
６０６  Advanced Novell Option ボタン
６０８  NovellクライアントログオンＵＩ
７０２  アイコン
７０４  ＰＩＮフィールド
７０６  キャンセルボタン
８０６  ＰＩＮフィールド
９００ａ  アイコン
９００ｂ  指紋センサアイコン
９００ｃ  ユーザタイル
１００２  フィールド
１００４  フィールド
１００６  アイコン
１１０２  事前ログオンアクセスプロバイダモジュール
１１０４  他のタイプのアクセスサービス
１１０６  ダイヤルアップネットワーキングアクセスサービス
１１０８  ＶＰＮアクセスサービス
１１１１  事前ログオンアクセスプロバイダマネジャＡＰＩ
１２０２  ログオンオプションボタン
１２０８a  アカウントタイプ
１２０８ｂ  Advanced Novell Option ボタン
１２０８ｃ  Novell UI
１２１０  プルダウンメニューアイコン
１３０２  ＰＬＡＰおよびクリデンシャルプロバイダモジュール
１３１２  ＰＬＡＰおよびクリデンシャルプロバイダＡＰＩ
１４４４  処理装置
１４４６  システムメモリ
１４４８  バス
１４５６  ハードディスク
１４５８  磁気ディスクドライブ
１４６０  取り外し可能磁気ディスク
１４６２  光ディスクドライブ
１４６４  取り外し可能光ディスク
１４６８  シリアルポート
１４７０  オペレーティングシステム
１４７２  アプリケーションプログラム
１４７４  プログラムモジュール
１４７６  プログラムデータ
１４６６  ＳＣＳＩインターフェース
１４８０  ポインティングデバイス
１４８２  キーボード／マウスインターフェース
１４８４  モニタ
１４８６  ビデオアダプタ
１４８８  リモートコンピュータ
１４９０  ローカルエリアネットワーク
１４９２  ワイドエリアネットワーク
１４９４  ネットワークインターフェース
１４９６  モデム
【図１】
2005129032.tif 000003
【図２ａ】
2005129032.tif 000004
【図２ｂ】
2005129032.tif 000005
【図３】
2005129032.tif 000006
【図４】
2005129032.tif 000007
【図５ａ】
2005129032.tif 000008
【図５ｂ】
2005129032.tif 000009
【図５ｃ】
2005129032.tif 000010
【図６ａ】
2005129032.tif 000011
【図６ｂ】
2005129032.tif 000012
【図７ａ】
2005129032.tif 000013
【図７ｂ】
2005129032.tif 000014
【図８ａ】
2005129032.tif 000015
【図８ｂ】
2005129032.tif 000016
【図９ａ】
2005129032.tif 000017
【図９ｂ】
2005129032.tif 000018
【図９ｃ】
2005129032.tif 000019
【図１０】
2005129032.tif 000020
【図１１】
2005129032.tif 000021
【図１２】
2005129032.tif 000022
【図１３】
2005129032.tif 000023
【図１４】
2005129032.tif 000024